Атака на реализации на HTTP/2, водеща до изчерпване на наличната памет

Разкрито е информация за уязвимостта "HTTP/2 Bomb", засягаща различни реализации на протокола HTTP/2 и позволяваща да се постигне отказ на обслужване чрез изчерпване на цялата налична памет на процеса. Проблемът е потвърден в HTTP сървърите nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) и Cloudflare Pingora в конфигурация по подразбиране.

Уязвимостта използва метод, наподобяващ zip бомба, прилагана към функционалността за компресиране на заглавия в HTTP/2. Идеята е, че заявката може да съдържа хиляди компресирани заглавия, като "Cookie", без прикрепени данни, всяко от които в заявката е представено с еднобайтов линк в индекса HPACK, но на сървър изисква пълно разпределение на паметта за цялото заглавие. Нивото на разхода на памет в различни HTTP сървъри варира от около 70 байта за всеки байт в индекса за nginx, IIS и Pingora до 4000 байта в Apache httpd и 5700 в Envoy. При атака от потребителски компютър с канал от 100 Mbps, за изчерпване на 32 GB памет са нужни около 10 секунди при атака на сървър с Envoy 1.37.2, 18 секунди — Apache httpd 2.4.67 и 45 секунди — nginx 1.29.7.

За блокиране на уязвимостта в изданието nginx 1.29.8 от проекта freenginx е прехвърлена директивата max_headers, по подразбиране допускаща обработка на не повече от 1000 заглавия. В Envoy поправката
е включена в издания 1.35.11 и 1.36.7, в които са реализирани лимитите mutable_max_request_headers_kb и max_headers_count. В Apache httpd поправката е предложена в изданието на модула mod_http2 2.0.41, който все още не е включен в релизите на Apache httpd. За
Microsoft IIS и Cloudflare Pingora поправките все още липсват.
Като обходен начин за защита може да се деактивира използването на протокола HTTP/2 и да се зададе ограничение на размера на паметта, достъпна за работните процеси.

Източник: opennet.ru